20080325 - 801 - Scriptie - definitief - Vurore

VIR 2007 en beveiligingBij systemen die onderdeel zijn van een keten, maakt het lijnmanagement via eenService Level Agreement (SLA) of een andere vorm van een dienstenovereenkomst,afspraken over de normen waaraan de keten moet voldoen.Daarnaast kan gebruik gemaakt worden van een Third Party Mededeling (TPM)waarin een onafhankelijke partij een verklaring afgeeft over het niveau vanbeveiliging binnen een organisatie.Hiermee wordt een garantie afgegeven dat de andere organisatie in de ketenvoldoet aan een vooraf vastgesteld beveiligingsniveau.Voor de beschikbaarheid van geautomatiseerde of handmatige (papieren archief)informatiesystemen worden tegenwoordig meestal Service Level Agreements (SLA) –of vergelijkbare overeenkomsten met een andere benaming – afgesloten tussen deeigenaar van het informatiesysteem (uiteindelijk lijnmanagement) en de ITdienstenleverancier.Beschikbaarheid is meer en meer het werkterrein van de beheerder en wordt vooralmet techniek gerealiseerd. De beheerder is verantwoordelijk voor het correct enbeheerst uitvoeren van de afspraken uit de SLA en rapporteert hierover aan deopdrachtgever. Voor de informatiebeveiligingsfunctie rest vooral het toezicht op demaatregelen die waarborgen, dat informatie niet verloren gaat, indien zich ernstigeproblemen voordoen.Code voor Informatiebeveiliging BS 7799-1:2000In de CvI wordt alleen gesproken over de contracten die behoren bij outsourcing ende bijbehorende beveiligingseisen:De beveiligingseisen van een organisatie die het beheer van een deel of alleinformatiesystemen, netwerken en/of desktopomgevingen uitbesteedt, dienen ineen contract tussen twee partijen te worden overeengekomen en vastgelegd.Opgenomen zou moeten worden:hoe aan wettelijke eisen wordt voldaan;welke voorzieningen zijn getroffen om bewustwording te waarborgen;hoe de integriteit en vertrouwelijkheid van de kernactiviteiten van degebruikersorganisatie zijn geborgd;welke fysieke en logische beheersmaatregelen m.b.t. gevoelige informatie zijngetroffen;beschikbaarheid van de services in geval van een calamiteit;welke niveaus van fysieke beveiliging worden geleverd;het recht om te auditenAfstudeerscriptie team 801 blz. 38 van 49